Ciberseguridad, agenda pendiente

[Publicado el 4 de diciembre de 2019 en Reforma]

“Mas si osare un extraño enemigo, profanar con su planta tu suelo, piensa ¡oh Patria querida! que el cielo, un soldado en cada hijo te dio”, debe interpretarse hoy día en el mundo digital de manera distinta, pues es infinitamente más probable que se atente contra la seguridad nacional con un ciberataque que por una invasión física de otro estado soberano. A pesar de que el Global Cybersecurity Index de la Unión Internacional de Telecomunicaciones considera que México está a nivel mundial con un compromiso medio con la ciberseguridad, ésta jamás ha tenido el lugar principal que le corresponde en nuestro país. Y el sector más atacado por 3 años consecutivos ha sido el financiero y de aseguradoras (IBM).

Mucho se pregona sobre la necesidad de desplegar redes 5G, promover el IoT (Internet de las Cosas) y la Inteligencia Artificial, sólo que los avances tecnológicos y de comunicación han dejado muy atrás a la ciberseguridad. Los ciberataques están 24×7 y todos los días del año, nunca descansan, porque a diferencia de las guerras de antaño donde las personas en algún momento tendrían que descansar, los ciberatacantes utilizan equipos que no cesan de buscar vulnerabilidades de los sistemas y equipos.

Ningún sistema es infalible, ni la mayor cultura en ciberseguridad suficiente, porque las inseguridades y desafíos en el ciberespacio son permanentes y cambiantes. La ciberdelincuencia no tiene patria, es global y su lealtad no está más que en el lucro a obtenerse y en el daño a generar. Tras un ciberataque todos quieren encontrar “al asesino con el cuchillo sangrante en la mano”, pero eso es un imposible en el ciberespacio.

No hay respuestas inmediatas para saber quiénes son los responsables, porque puede provenir de una persona interna agraviada por su patrón o que está en desacuerdo con las políticas institucionales, o de una red criminal con presencia en múltiples países que elimina las fronteras del delito en la nube de internet; el ciberataque pudo causarse por un virus, la instalación de malware, etcétera. La investigación se torna compleja porque además de que los expertos forenses son escasos, salvaguardar la evidencia en el entorno digital y cuidar la cadena de custodia es todo un reto. Si se trata del llamado ataques del día cero, no hay una solución, ni parche, ni antivirus, tal cual una nueva enfermedad sin diagnóstico ni cura, donde la contención es el remedio temporal.

Fundamental es la labor de los CERTs (Centros de Respuesta ante Emergencias Informáticas) porque dan alertas de seguridad, realizan investigaciones, apoyan en contención y resolución de afectaciones, etc. En México existe el CERT UNAM (el primero), el CERT-MX del sector público que se ha enfocado a delitos de alto impacto (p. ej. trata, pornografía infantil, lavado de dinero), MNEMO CERT que fue el primero del sector privado y con enfoque en el sector financiero, el SCITUM CERT de Grupo Carso, y otros de más reciente creación.

En México existe una Estrategia Nacional de Ciberseguridad desde 2017 y se han hecho esfuerzos en la materia, pero la ausencia de liderazgo y continuidad afecta profundamente. Al igual que en Reino Unido y España, debiera crearse una Agencia Nacional de Ciberseguridad dotada autonomía, presupuesto y personal experto.

El ciberataque que ocasionó pérdidas por cientos de millones de pesos por afectaciones al SPEI en 2018, estuvo precedido por cinco ofensivas que pasaron desapercibidas, según advirtió MNEMO. El reciente ciberataque a Pemex y el uso del cómputo en la nube, pone de manifiesto la vulnerabilidad de los sistemas, la necesidad de más investigación y la importancia de definir qué autoridad será el zar de la ciberseguridad, pues hoy día no es claro si es la Guardia Nacional, si es otra área de la Secretaría de Seguridad y Protección, si es la Fiscalía General de la República o se crea la Agencia Nacional de Ciberseguridad, debiendo participar también el Instituto Federal de Telecomunicaciones.

Print Friendly
Entrada anterior:
Entrada siguiente:

Deja un comentario